Bufete de abogados parisino: datos de clientes en la región de AWS París. Pregunta del delegado de protección de datos: "¿Se sigue aplicando la Ley de la Nube?" » Respuesta corta: potencialmente sí, porque el proveedor de servicios está sujeto a la ley estadounidense, no porque el disco duro esté en París.
La Ley CLOUD (2018) permite a las autoridades estadounidenses requisar ciertos datos en poder de proveedores de nube bajo jurisdicción de EE. UU., incluso cuando se almacenan en el extranjero. Para un sitio europeo, el problema no es el pánico general: se trata de mapear quién puede ser forzado, sobre qué y si sus datos lo permiten.
Qué cambia la Ley de la Nube, en concreto
La ley se dirige a proveedores estadounidenses y a las entidades que controlan, no a cualquier host con un centro de datos en la Unión Europea. Un pedido puede apuntar al contenido en sí: correos electrónicos, archivos, metadatos según el caso. También puede crear un conflicto de leyes entre el orden estadounidense y el bloqueo europeo, mientras que la transparencia sigue siendo limitada: las órdenes de silencio a veces impiden que el proveedor de servicios notifique al cliente.
| Configuración | Exposición típica a la Ley de Nubes |
|---|---|
| AWS/Azure/GCP Región de la UE | Sí (entidad estadounidense) |
| OVH / Infomaniak / Hetzner (UE) | Ninguna ley estadounidense sobre la nube; otros marcos posibles |
| CDN de EE. UU. representando todo el tráfico | Para analizar (procesamiento, registros) |
| Cifrado, claves en poder del cliente | Reduce los datos procesables |
Un centro de datos en la Unión Europea no excluye el ámbito americano si el contrato se firma con una entidad sujeta a la legislación estadounidense.
Preguntas para hacer antes de firmar
Antes de validar un contrato, aclarar la identidad jurídica contractual: ¿es una empresa americana o una filial europea? Mapee subcontratistas (respaldos, soporte, supervisión) que podrían estar ubicados en los Estados Unidos. Verifique la ubicación de producción, copias de seguridad y registros, como se describe en nuestra encuesta de ubicación real. Solicitar cláusulas de notificación en caso de orden gubernamental, cuando lo permita la ley. Finalmente, especifique cifrado: ¿quién posee las claves, hay un KMS cliente y su proyecto requiere SecNumCloud o soberanía mejorada? Consulte SecNumCloud: criterios para este último punto.
Compare los archivos del directorio: OVHcloud, Scaleway e Infomaniak documentan diferentes posiciones de soberanía de la región de AWS París.
Mitigaciones proporcionadas
Para datos no muy sensibles en un sitio de exhibición, un anfitrión europeo con un acuerdo de subcontratación sólido suele ser suficiente; la Ley de la Nube tiene poco peso en la práctica. Para datos sensibles, secretos de defensa o determinados datos de salud, evite el canal americano, considere SecNumCloud o HDS según el marco francés, cifre con claves de cliente y haga que un abogado vuelva a leer el contrato. Para CDN o SaaS de EE. UU., procesamiento de mapas; la anonimización o el enrutamiento exclusivo de la UE a veces pueden reducir la exposición.
Referencia cruzada con GDPR: elige un host y Cloud Act y contrato.
Lo que no hace la Ley de la Nube
La ley no autoriza a cualquiera a leer tus datos: es necesario un procedimiento americano. No reemplaza su cumplimiento del RGPD como controlador de datos. No es ilegal el uso de AWS en la región europea; requiere análisis de riesgos y salvaguardias documentados.
La cumbre: la región de la nube tranquiliza: la jurisdicción del contrato vincula
Para los sitios de consumo, el riesgo real varía según la sensibilidad de los datos. Para datos críticos, la ilusión se convierte en responsabilidad.
Decide y avanza sin puntos ciegos
Primero identifique la entidad contratante y la empresa matriz, luego asigne las copias de seguridad, la CDN y el soporte de terceros. Evalúe la sensibilidad de los datos y los requisitos de la industria que se aplican a su negocio. Elija un servidor europeo o garantías de cifrado y posesión de claves si un proveedor de servicios estadounidense sigue siendo esencial. Por último, documente su análisis de riesgos sobre las transferencias, como se recuerda en la guía Transferencias fuera de la UE.
Consulte la comparación y la encuesta sobre la nube soberana para perfeccionar su lista.
Preguntas frecuentes
¿Se aplica la Ley de la Nube si mis datos están en Francia?
Sí, es posible si el proveedor del servicio está sujeto a la ley estadounidense. La ubicación de los discos no siempre es suficiente para excluir un pedido dirigido a datos almacenados en la Unión Europea.
¿Un servidor puramente europeo evita la Ley de la Nube?
Esto reduce el riesgo vinculado a los Estados Unidos, siempre que no haya ninguna empresa matriz o subcontratista estadounidense sujeta a la legislación estadounidense. Lea el contrato, no sólo el marketing.
¿El cifrado protege contra la Ley de la Nube?
El cifrado con claves que usted posee únicamente limita el acceso utilizable. Las claves alojadas por un proveedor de servicios estadounidense siguen expuestas.
SecNumCloud y Cloud Act: ¿enlace?
SecNumCloud proporciona hosting reforzado contra el acceso extraterritorial para ciertos cargos sensibles. Esto no es automático para ningún sitio web.
Ley de nube para un sitio europeo: no está "prohibido en EE. UU.", es saber quién, legalmente, puede recibir un pedido sobre sus datos, dondequiera que estén.